Uchovávání dat definuje, jak dlouho jsou data uchovávána před smazáním. Pravidla pocházejí z mnoha zdrojů. Předpisy vyžadují, aby finanční záznamy byly uchovávány po dobu sedmi let. Zdravotní data mají své vlastní lhůty. GDPR říká, že osobní údaje by neměly být uchovávány déle, než je nezbytné. Právní rezervace vyžadují, aby data byla uchovávána během soudního sporu. Smlouvy s dodavateli specifikují doby uchovávání. Organizace musí všechny tyto podmínky sladit do ucelené politiky.

Uchovávání dat není jen o dodržování předpisů. Jde o riziko a náklady. Každý bajt uložených dat představuje potenciální závazek. Narušení bezpečnosti odhalí vše, co uchováváte. Soudní spor může vynutit vše, co uchováváte. Ukládání stojí peníze. Zpracování stojí peníze. Stará data zpomalují dotazy a komplikují migrace. Instinkt uchovávat vše navždy je pochopitelný a zároveň chybný. Zásady uchovávání dat by měly být specifické. Ne všechna data jsou stejná. Záznamy o transakcích, e-maily zákazníků, protokoly serverů a marketingové analýzy mají různé požadavky a různé rizikové profily. Zásady by měly definovat doby uchovávání pro každou kategorii, specifikovat, jak k mazání dochází, a ověřit, zda k němu skutečně dochází. Automatické mazání je nezbytné. K ručnímu mazání nedochází. Data, která měla být smazána před lety, jsou stále tam a čekají, až způsobí problémy. Uchovávání dat je o tom, že se jich zbavíte. Data splnila svůj účel. Jejich delší uchovávání neslouží nikomu jinému než útočníkovi.

Úvahy o uchovávání

• Regulační požadavky – specifické pro dané odvětví a jurisdikci
• Právní rezervace – zachování dat v případě pravděpodobného soudního sporu
• Obchodní potřeby – jak dlouho jsou data skutečně užitečná
• Riziko – narušení bezpečnosti a odhalení
• Náklady – náklady na skladování a zpracování

Uchovávání dat je otázka rovnováhy. Pokud si ponecháte příliš málo, ztratíte historii. Pokud si ponecháte příliš mnoho, nesete riziko. Správná odpověď se liší v závislosti na typu dat.